公表の翌日には、もう攻撃が始まっている
2025 年 12 月、React Server Components に、深刻度が最高の 10.0 と評価された脆弱性「React2Shell」が公表された。Next.js の App Router を使うサイトも対象で、条件しだいでは、認証なしでサーバー上の任意のコードを実行されるという。その日の夜にはこの穴を探すスキャンが観測され、翌日には実際に動く攻撃コードが出回り、何も手を加えていない新規の Next.js アプリでも攻撃が確認。つまり公表から悪用まで、たった 1〜2 日しかなかった。
2026 年 7 月には、WordPress 本体の 2 つの脆弱性を組み合わせた攻撃「wp2shell」が広がり、プラグインを入れていない標準の WordPress でも認証なしで乗っ取られるという。自動更新や WAF で守られたサイトは被害が小さく済んだ一方、更新が止まっていたサイトは無防備なまま。攻撃のあとに管理者アカウントが勝手に作られていた例も、100 件を超えたという。
見守り続けて、最速の対応。PHPクライシスも徹夜で朝六時に最速でパッチを確認＆反映
Someone’s Garden は主に映画の公式サイトや企業のサイトをPHP（WordPress）と Next.js で作っているが、つねに監視とメンテナンスを続け、主要な脆弱性情報を日々追い、サイトに影響するものが見つかれば、すぐに確かめて更新している。今回も、タイマーをセットして一時間ごとにALAS(AWSのセキュリティセンター）をチェックし、朝の六時にパッチがリリースされた瞬間に検知し、最速で対応している。
ご自身のサイトのことで気になる点があれば、お気軽にご相談ください。
参考：Datadog Security Labs（React2Shell）、The Hacker News（wp2shell, 2026 年 7 月 21 日）、Anthropic「Project Glasswing: An initial update」（2026 年 5 月 22 日）